ჰაკერები ScreenConnect-ის ხარვეზს იყენებენ ასობით კომპიუტერში მავნე პროგრამის გასავრცელებლად

მკვლევრებმა ასევე დაადასტურეს, რომ შეტევები შეეხო ScreenConnect-ის 26.6.6.9747 და 26.7.6.9783 ვერსიებს. ეს ნიშნავს, რომ უახლესი გამოშვებების მომხმარებლები აუცილებლად დაცული არ იყვნენ.

ConnectWise-მა აღიარა, რომ შესაძლოა საქმეში მესამე მხარის გაფართოებები ყოფილიყო ჩართული, თუმცა არ დაუდასტურებია, თავდამსხმელებმა თავდაპირველად როგორ მოიპოვეს წვდომა.

უსაფრთხოების რეკომენდაციაში კომპანიამ დაწერა, რომ პარტნიორთა ზოგიერთ გარემოში უნებართვო წვდომას იძიებდა. კომპანიამ RMM+-ის ჯგუფის სულ მცირე ერთი გაფართოებით აღჭურვილი დაახლოებით 400 ინსტალაცია გამოავლინა.

ConnectWise-მა დისტანციურად გამორთო ხუთი გაფართოება, მათ შორის RMM+, RMM Plus და Labtech Plus, სადაც ამის გაკეთება შეეძლო. კომპანიამ მომხმარებლებს, რომლებსაც საკუთარი ScreenConnect სერვერები აქვთ, იგივე ნაბიჯის გადადგმისკენ მოუწოდა.

ConnectWise-მა ხაზგასმით აღნიშნა, რომ 400 გარემო გაფართოებების დაყენების გამო გამოავლინა და ეს არ ნიშნავს, რომ ისინი აუცილებლად დაზიანებული იყო.

კომპანიამ განაცხადა: „ამ ეტაპზე ვერ აღმოვაჩინეთ მტკიცებულება, რომ ConnectWise-ის ინფრასტრუქტურა დაზიანდა ან თავად ScreenConnect-ში მოწყვლადობაა“.

SCKit-ში კიდევ ერთი საზიანო ხრიკია დამალული. Huntress-ის ცნობით, მავნე პროგრამა ინფიცირებულ კომპიუტერს ტექნიკოსისთვის მახედ აქცევს, როცა ის პრობლემის გამოსაძიებლად მიდის. თუ ტექნიკოსი ScreenConnect-ით დაუკავშირდება, პროგრამების ნაკრები მავნე პროგრამის მის სამუშაო კომპიუტერზე გადატანას, ავტორიზაციის ქუქიების მოპარვასა და მისი წვდომის სხვა კომპიუტერების დასაინფიცირებლად გამოყენებას ცდილობს.

ამან თავდამსხმელებს შესაძლოა ერთი დაზიანებული მომხმარებლიდან იმავე IT მიმწოდებლის მიერ მართულ სხვა მომხმარებლებთან გადასვლის საშუალება მისცეს. თუმცა Huntress-ის თქმით, კომპანიას შეტევის ამ ნაწილის წარმატებით განხორციელება ჯერ არ უნახავს.

მკვლევრებმა დაწერეს: „არ დაგვინახავს, რომ ამ მეთოდით გავრცელება წარმატებით განხორციელდა. კონსოლის ხელში ჩაგდების მცდელობა ყველა აღდგენილ ჰოსტზე ჩავარდა, რომლის ჟურნალებიც აქამდე შევამოწმეთ“.

Huntress-ს ასევე ეჭვი აქვს, რომ მავნე პროგრამის C# კოდის ნაწილი დიდი ენობრივი მოდელის (LLM) გამოყენებით შეიქმნა. ამის ნიშნად კომპანიას უჩვეულოდ დეტალური კომენტარები მოჰყავს, რომლებიც განმარტავს, რას უნდა აკეთებდეს კოდი. როგორც ჩანს, მავნე პროგრამების შემქმნელებიც აფასებენ საშინაო დავალებაში მცირე დახმარებას.

Huntress-იც და ConnectWise-იც ადმინისტრატორებს ურჩევენ, საეჭვო ინფექციები ScreenConnect-ით დისტანციურად დაკავშირების გზით არ გამოიძიონ, რადგან ამან შესაძლოა თავად ტექნიკოსის კომპიუტერი დააზიანოს.

ადმინისტრატორებს ურჩევენ, დაზიანებული კომპიუტერების გამოსაძიებლად უსაფრთხოების სხვა ხელსაწყოები გამოიყენონ, არალეგიტიმური ScreenConnect-ის კლიენტები მოძებნონ და შეამოწმონ, რა ბრძანებები შესრულდა. კომპიუტერების ქსელში დაბრუნებამდე მათში დარჩენილი მავნე პროგრამებიც უნდა წაშალონ.

Huntress-მა Reddit-ზე გააფრთხილა მომხმარებლები, რომ ზოგი კომპიუტერი იზოლაციიდან გამოყვანიდან რამდენიმე წუთში ხელახლა ინფიცირდებოდა, რადგან მავნე პროგრამა სათანადოდ არ იყო წაშლილი.

მოწყვლადი გაფართოებების გამორთვა ზიანს აუცილებლად ვერ აღმოფხვრის. ConnectWise აფრთხილებს: „მხოლოდ გაფართოებების გამორთვამ და ანგარიშის მონაცემების შეცვლამ შესაძლოა ვერ წაშალოს უნებართვო პროგრამები, სისტემაში დარჩენის მექანიზმები ან მოწყობილობებზე უკვე დამყარებული წვდომა“.

თავდამსხმელებმა უკვე შეძლეს დისტანციური წვდომის საკუთარი პროგრამების დაყენება. ამიტომ მათი განდევნა შესაძლოა გაცილებით რთული აღმოჩნდეს, ვიდრე იმ კარის დაკეტვა, რომლითაც ისინი შემოვიდნენ.

თემებიConnectWiseHuntressRedditThe RegisterLabtech PlusRMM+SCKitScreenConnect

გამოქვეყნდა 12 ნოემბერი, 2026